Nie jesteś zalogowany. Proszę się zalogować lub zarejestrować.
eko.one.pl → Oprogramowanie / Software → opnvpn na routerze jako client
Strony Poprzednia 1 2
Zaloguj się lub zarejestruj by napisać odpowiedź
Wypisz tu jakie, autor tego tekstu (rpc) tu bywa, więc jeżeli są słuszne to poprawi.
Konfiguracja klienta:
option ca /etc/openvpn/ca.crt
option cert /etc/openvpn/vpn_server_lan1.dyndns.biz.crt
option key /etc/openvpn/vpn_server_lan1.dyndns.biz.key
option dh /etc/openvpn/dh1024.pemcert i key serwera?
Brak info o kopiowaniu ca.crt i dh1024.pem
"W certyfikacie klienta MUSI być w polu CommonName wpisana nazwa dns serwera bo to jest sprawdzane przez klientów openvpn (opcja tls-remote).
Za to to co będzie wpisane w certyfikacie klienta w polu CommonName jest dowolną nazwą"
Nie chciało ruszyć z tym:
option ifconfig_pool_persist /tmp/ipp.txt
option ns_cert_type server
option ns_cert_type client
I jeszcze kilka innych pomyłek w opisie.
Pytanie odnośnie tej opcji: list push "dhcp-option DOMAIN domena_firmy.dyndns.biz"
Czy muszę mieć kontroler domeny w sieci żeby tego używać?
Po prostu taką domenę w sieci Ci udostępnia dhcp. W openwrt jezeli tego nie przestawiłeś masz domyślnie .lan (czyli router to OpenWrt.lan).
Wróciłem do działających ustawień. Routery pingują się. Nie mogę jednak pingować routera-serwera z komputera podpiętego do routera-klienta i na odwrót.
Co musiałbym zmienić w konfiguracji aby komputery w sieciach się widziały?
Kolego pinklerose każda kompilacja openwrt powinna być taka sama ale ciągle są zmiany więc nie narzekaj tylko po prostu napisz co nie tak działa.
Konfiguracja na mojej stronie wklejona na żywca z działającego połączenia i nie zrywającego.
Info o kopiowaniu ca i cert na serwerze jest w przykładzie więc nie narzekaj.
Z polem CN w certyfikacie serwera poprawiłem - pisałem z ręki więc się pomyliłem.
ns-cert-type u mnie działa a to z manuala do czego to służy
--ns-cert-type client|server
Require that peer certificate was signed with an explicit nsCertType designation of "client" or "server".
This is a useful security option for clients, to ensure that the host they connect with is a designated server.
See the easy-rsa/build-key-server script for an example of how to generate a certificate with the nsCertType field set to "server".
If the server certificate's nsCertType field is set to "server", then the clients can verify this with --ns-cert-type server.
This is an important security precaution to protect against a man-in-the-middle attack where an authorized client attempts to connect to another client by impersonating the server. The attack is easily prevented by having clients verify the server certificate using any one of --ns-cert-type, --tls-remote, or --tls-verify. option ifconfig_pool_persist /tmp/ipp.txt
w pliku powinien umieścić usera i przypisany jemu adres ip ale to zależy od konfiguracji.
"I jeszcze kilka innych pomyłek w opisie."
Po prostu je podaj a się je poprawi. Jak potrafisz lepiej to sam napisz swoje howto a nie narzekaj tylko pomóż je poprawić i tyle.
No i czytać manuale a nie tylko dać i narzekać bo tam wszystko napisane
Nie narzekam i nie trzeba się od razu denerwować. Siedzę już nad tym kilka dni i jestem już tym po prostu zmęczony. To co po kilku godzinach bezowocnej konfiguracji udało mi się wyeliminować i uzyskać jakieś efekty opisałem tutaj i myślę, że właśnie to powinno pomóc w poprawie błędów.
@rpc
To widnieje na kliencie po odpaleniu openvpn po zastosowaniu twojogo opisu.
May 18 20:20:11 peveril daemon.err openvpn(Client_OpenVPN)[12502]: Options error: --ifconfig-pool/--ifconfig-pool-persist requires --mode server
May 18 20:20:11 peveril daemon.warn openvpn(Client_OpenVPN)[12502]: Use --help for more information.Po wywaleniu tego z klienta jest lepiej ale:
May 18 20:36:12 peveril daemon.err openvpn(Client_OpenVPN)[12771]: Connection reset, restarting [0]
May 18 20:36:12 peveril daemon.notice openvpn(Client_OpenVPN)[12771]: TCP/UDP: Closing socket
May 18 20:36:12 peveril daemon.notice openvpn(Client_OpenVPN)[12771]: SIGUSR1[soft,connection-reset] received, process restarting
May 18 20:36:12 peveril daemon.notice openvpn(Client_OpenVPN)[12771]: Restart pause, 10 second(s)Serwer:
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: MULTI: multi_create_instance called
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: Re-using SSL/TLS context
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: LZO compression initialized
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: Control Channel MTU parms [ L:1544 D:140 EF:40 EB:0 ET:0 EL:0 ]
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: Data Channel MTU parms [ L:1544 D:1450 EF:44 EB:135 ET:0 EL:0 AF:3/1 ]
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: TCP connection established with 82.9.47.45:39325
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: TCPv4_SERVER link local: [undef]
May 18 21:37:45 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: TCPv4_SERVER link remote: 82.9.47.45:39325
May 18 21:37:46 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 TLS: Initial packet from 82.9.47.45:39325, sid=dcbb1f81 2be7e8c7
May 18 21:37:49 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 VERIFY OK: depth=1, /C=PL/ST=kujawsko-pomorskie/L=Bydgoszcz/O=Domostwo/CN=Domostwo_CA/emailAddress=admin@pinklerose.pl
May 18 21:37:49 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 VERIFY nsCertType ERROR: /C=PL/ST=kujawsko-pomorskie/L=Bydgoszcz/O=Domostwo/CN=peveril/emailAddress=admin@pinklerose.pl, require nsCertType=CLIENT
May 18 21:37:49 Felixa daemon.err openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 TLS_ERROR: BIO read tls_read_plaintext error: error:140890B2:lib(20):func(137):reason(178)
May 18 21:37:49 Felixa daemon.err openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 TLS Error: TLS object -> incoming plaintext read error
May 18 21:37:49 Felixa daemon.err openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 TLS Error: TLS handshake failed
May 18 21:37:49 Felixa daemon.err openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 Fatal TLS error (check_tls_errors_co), restarting
May 18 21:37:49 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: 82.9.47.45:39325 SIGUSR1[soft,tls-error] received, client-instance restarting
May 18 21:37:49 Felixa daemon.notice openvpn(Server_OpenVPN)[4057]: TCP/UDP: Closing socketZ serwera wywaliłem: nsCertType=CLIENT
Teraz klient może się podłączyć. Jednak pingują się tylko routery. W sieci lokalnej w windowsie nie widać żadnych hostów w sieci, nawet urządzeń podpiętych do routera.
Problem rozwiązany. Ta konfiguracja z pierwszego posta zadziałała bez najmniejszych problemów. Wywaliłem jedynie wpisy 'user' i 'group'.
Dobrze że zwróciłeś na to uwagę. Otóż okazuje się, iż teraźniejsze wersje easy-rsa nie dodają do certyfikatu pola nscertype=client przez co są te problemy. dotyczy to tylko generowania clientów. W certyfikacie serwera jest umieszczone pole nscertype=server i tu powinno być ok.
Widać to podglądając plik certyfikatu (plik crt) gdzie powinien być następujący wpis:
Netscape Cert Type:
SSL ClientW wolnej chwili sprawdzę bo może wprowadzili do tego jakiś przełącznik choć poprzednio go nie było.
Z ifconfig-pool poprawione, powinno być tylko na serwerze nie wiem jak się to wkleiło co nie umniejsza faktu, że to mój błąd. Przeoczyłem.
Strony Poprzednia 1 2
Zaloguj się lub zarejestruj by napisać odpowiedź
eko.one.pl → Oprogramowanie / Software → opnvpn na routerze jako client
Forum oparte o PunBB, wspierane przez Informer Technologies, Inc